Veiledning i administrativ kryptosikkerhet - NSM

NSM 2007-04-19
UGRADERT
Lokaliteter hvor det utføres administrasjon av kryptonøkler og drift av
kryptoutstyr skal være fysisk sikret for den høyeste sikkerhetsgrad
kryptonøklene har og minst som for KONFIDENSIELT.
Virksomhet som ikke er forvaltningsorgan og skal produsere kryptoutstyr hvor
kryptoalgoritmer til NATO eller NSK inngår, skal på forhånd være
leverandørklarert for HEMMELIG eller høyere.
Hva et forvaltningsorgan i medhold av Sikkerhetsloven er, går frem av Sikkerhetslovens § 2.
Følgende virksomheter kan tilby kryptoutstyr godkjent av NSM:
- NSM
- ERGO Group
- Kongsberg Defence Aerospace (KDA)
- Thales Communications Norway
3.6 Til § 7-6 Plikt til å etablere kryptosikkerhetsorganisasjon
Virksomhet som besitter kryptomateriell skal etablere en
kryptosikkerhetsorganisasjon med kryptosikkerhetsleder og kryptoforvalter
med stedfortredere, og etablere ordning for henting og levering av
kryptomateriell med kurerpost.
Det skal etableres en hensiktsmessig kurertjeneste. Innenlands må det opprettes et samarbeid mot
Forsvarets kurertjeneste (FOKS) tlf 23 09 89 70/89 81 og for utlandet med Utenriksdepartementet
(UD) tlf 22 24 30 58 eller mot FOKS (NATO).
Virksomheten må selv ta initiativ for å etablere hensiktsmessige distribusjonskanaler.
Kryptosikkerhetspersonellet skal være faglig kvalifisert, herunder
kryptokvalifisert, ha nødvendig myndighet i virksomheten og kunne ivareta
funksjonen i minst ett år. Personellet skal ikke pålegges andre oppgaver i den
utstrekning det fratar dem muligheten til å ivareta funksjonen i samsvar med
gjeldende sikkerhetsbestemmelser. Bare personell som har vært fast ansatt i
virksomheten i minst ett år kan utpekes til kryptosikkerhetsleder eller
kryptoforvalter, med mindre NSM i det enkelte tilfelle samtykker i annet.
Med faglig kvalifisert menes også nødvendige ferdigheter i betjening av virksomhetens kryptoutstyr.
Virksomheten er selv ansvarlig for å gi den enkelte opplæring i bruk av kryptoutstyret. Forsvarets
skoler arrangerer kurs på de fleste utstyrstyper, ref vedlegg.
3.7 Til § 7-7 Virksomhetens leder
Virksomhetens leder er ansvarlig for at sikkerhetsbestemmelsene for
kryptotjenesten blir fulgt i egen virksomhet, herunder:
1. Skriftlig utpeke kryptosikkerhetsleder og kryptoforvalter med stedfortredere.
2. Minimum en gang i året kontrollere utførelsen av kryptosikkerhetstjenesten.
3. Iverksette nødvendige tiltak for å redusere skadevirkning og rapportere til overordnet virksomhet
ved sikkerhetsbrudd, kompromittering, uautorisert endring eller utilgjengelighet av kryptoutstyr
eller sikkerhetsgradert informasjon.
Side 8 av 28
UGRADERT